PT-2026-35047 · Npm · Axios

Kobi-S · Publicado 2026-04-24 · Atualizado 2026-05-18 · CVE-2026-42037

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Axios versões 1.0.0 até 1.15.0

Description O construtor FormDataPart em lib/helpers/formDataToStream.js interpola a propriedade value.type diretamente no cabeçalho Content-Type de cada parte multipart sem sanitizar sequências CRLF (retorno de carro e alimentação de linha). Um invasor que controle a propriedade .type de um objeto do tipo Blob ou File pode injetar cabeçalhos de parte MIME arbitrários no corpo do form-data multipart. Esta ação ignora as proteções de cabeçalho integradas do Node.js v18 e posteriores, pois a injeção ocorre na estrutura do corpo multipart, e não nos cabeçalhos da requisição HTTP.

Recommendations Atualizar para a versão 1.15.1.

Exploit

Correção

Enumeração de Fraquezas

CWE-93

Identificadores relacionados

CLEANSTART-2026-BE61221

CLEANSTART-2026-LC05413

CVE-2026-42037

GHSA-445Q-VR5W-6Q77

Produtos afetados

Axios

Referências · 212

• 🔥 https://github.com/axios/axios/security/advisories/GHSA-445q-vr5w-6q77 · Exploit
• https://github.com/axios/axios · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-BE61221.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-LC05413.json · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29086 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-2739 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33895 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-44457 · Nota
• https://osv.dev/vulnerability/ghsa-5m6q-g25r-mvwx · Nota
• https://osv.dev/vulnerability/ghsa-xx6v-rp6x-q39c · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-44455 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-41238 · Nota
• https://osv.dev/vulnerability/CVE-2026-4926 · Nota
• https://osv.dev/vulnerability/ghsa-3mfm-83xf-c92r · Nota
• https://osv.dev/vulnerability/CVE-2026-42038 · Nota